CVE-2026-57821

Nome do Software Vulnerável e Versões Afetadas Apache Fineract versões anteriores a 1.14.1

Descrição Um usuário autenticado com permissões para visualizar escritórios pode realizar uma injeção de SQL cega baseada em tempo através do endpoint 'Office Search API' '/api/v1/offices'. O problema ocorre porque o parâmetro de requisição orderBy é concatenado em uma consulta SQL sem a validação suficiente, ignorando o ColumnValidator. Isso permite a injeção de SQL arbitrário, que pode ser utilizado para a exfiltração de dados. Além disso, como as consultas injetadas bloqueiam as conexões com o banco de dados, a exploração simultânea pode esgotar o pool de conexões do banco de dados, resultando em negação de serviço.

Recomendações Atualize para uma versão que contenha a correção. Como medida de mitigação temporária, restrinja o uso do parâmetro orderBy no endpoint '/api/v1/offices'.